Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Русский
Entry № 829

PKCS#11

Что такое PKCS#11?

PKCS#11Стандартный C-API под названием Cryptoki, позволяющий приложениям использовать криптографические токены (HSM, смарт-карты) без привязки к проприетарному драйверу.

PKCS#11 (Public-Key Cryptography Standard №11) был первоначально опубликован RSA Laboratories и в настоящее время поддерживается OASIS. Он определяет платформонезависимый C-интерфейс Cryptoki для работы с криптографическими токенами. Токен предоставляет слоты, сессии и объекты (ключи, сертификаты, данные); операции C_Sign, C_Encrypt, C_Wrap и C_DeriveKey выполняются внутри устройства, поэтому закрытые ключи никогда не покидают его. Это де-факто стандарт для подключения HSM, смарт-карт и TPM к серверам TLS (OpenSSL через pkcs11-provider), PKI, конвейерам подписания кода и клиентам KMIP. Версия PKCS#11 v3.1 добавила Ed25519, EdDSA и постквантовые примитивы.

● Примеры

  1. 01

    OpenSSL использует YubiHSM 2 через pkcs11-provider для подписи запроса TLS-сертификата.

  2. 02

    Пайплайн подписания кода вызывает C_Sign на ключе в AWS CloudHSM без его экспорта.

● Частые вопросы

Что такое PKCS#11?

Стандартный C-API под названием Cryptoki, позволяющий приложениям использовать криптографические токены (HSM, смарт-карты) без привязки к проприетарному драйверу. Относится к категории Криптография в кибербезопасности.

Что означает PKCS#11?

Стандартный C-API под названием Cryptoki, позволяющий приложениям использовать криптографические токены (HSM, смарт-карты) без привязки к проприетарному драйверу.

Как работает PKCS#11?

PKCS#11 (Public-Key Cryptography Standard №11) был первоначально опубликован RSA Laboratories и в настоящее время поддерживается OASIS. Он определяет платформонезависимый C-интерфейс Cryptoki для работы с криптографическими токенами. Токен предоставляет слоты, сессии и объекты (ключи, сертификаты, данные); операции C_Sign, C_Encrypt, C_Wrap и C_DeriveKey выполняются внутри устройства, поэтому закрытые ключи никогда не покидают его. Это де-факто стандарт для подключения HSM, смарт-карт и TPM к серверам TLS (OpenSSL через pkcs11-provider), PKI, конвейерам подписания кода и клиентам KMIP. Версия PKCS#11 v3.1 добавила Ed25519, EdDSA и постквантовые примитивы.

Как защититься от PKCS#11?

Защита от PKCS#11 обычно сочетает технические меры и операционные практики, как описано в определении выше.

Какие есть другие названия PKCS#11?

Распространённые альтернативные названия: Cryptoki, PKCS11.

● Связанные термины